Zero Trust: Das Sicherheitsparadigma fürs digitale Zeitalter
In einer Welt des Wandels müssen Unternehmen ihre Sicherheitsstrategie kontinuierlich weiterentwickeln. Der Zero-Trust-Ansatz stellt inhärentes Vertrauen innerhalb der IT-Infrastruktur in Frage und prüft jeden Zugriff. Damit können Unternehmen nicht nur ihre Sicherheit erhöhen, sondern auch die digitale Transformation vorantreiben. Doch was steckt dahinter?
Februar 2025, Text Andreas Heer 6 Min.
Die Schutzmauer ist durchbrochen, und der Angreifer stürmt ins Innere der Anlage. Das ist keine Szene aus einem Film, sondern die Ausgangslage für die Cybersecurity-Strategie eines Unternehmens. Sicherheitslücken bis hin zu ausgenutzten 0-Days in Firewalls verschiedener Hersteller haben den Angreifern eine Hintertür geöffnet. Ausserdem haben Cloud und Remote-Arbeit On-Premises-Sicherheitsmodelle untergraben. Mit dem «Assume Breach»-Ansatz gehen Unternehmen davon aus, dass sich Cyberkriminelle längst in der Firmeninfrastruktur umsehen.
Das Sicherheitsparadigma, das diesem Szenario Rechnung trägt, heisst Zero Trust. «Dabei handelt es sich um ein Paradigma und ein Architekturkonzept, das keinerlei implizites Vertrauen innerhalb der IT-Landschaft voraussetzt», beschreibt Stephan Andreas Weber, Cybersecurity-Spezialist bei Swisscom, die Idee dahinter. Während in klassischen Security-Architekturen der Perimeter geschützt wird und Geräte und Personen innerhalb des Firmennetzes als vertrauenswürdig gelten, prüft ein Zero-Trust-Ansatz jeden Zugriff von Mensch oder Maschine. Und kann dadurch Angriffe frühzeitig erkennen.
Zero Trust als Enabler der Digitalisierung
Doch Zero Trust ist nicht einfach eine «andere Sicherheit», sondern ein Enabler für die digitale Transformation. «Der Ansatz ermöglicht die sichere Einführung und Nutzung von Cloud-Diensten und unterstützt damit rechtliche und Compliance-Vorgaben beim Übergang ins digitale Zeitalter», betont Weber. Gleichzeitig bietet Zero Trust eine sichere Basis für hybride Arbeitsmodelle, die es Mitarbeitenden erlaubt, sicher und flexibel remote zu arbeiten, beispielsweise unterwegs oder im Homeoffice. Denn die Policies beispielsweise für den Zugriff auf Cloud-Ressourcen des Unternehmens lassen sich standortunabhängig durchsetzen.
Darüber hinaus steigert Zero Trust die Cyberresilienz(öffnet ein neues Fenster), indem es dynamische und anpassungsfähige Sicherheitsrichtlinien bereitstellt. Das hilft Unternehmen, schnell auf neue Bedrohungsszenarien zu reagieren und die Cybersecurity agil auf veränderte geschäftliche Rahmenbedingungen anzupassen.
Die 5 Prinzipien von Zero Trust
Zero Trust steht für eine umfassende Sicherheitsstrategie, die alle Ebenen der IT-Infrastruktur abdeckt. Dazu gehören:
- die Kontrolle des Zugriffs von Personen auf Dienste (User-to-Service)
- die Überwachung der Aktivitäten innerhalb dieser Dienste (User-in-Service)
- die Absicherung der Kommunikation zwischen verschiedenen Diensten über APIs (Service-to-Service)
Dieser ganzheitliche Ansatz stellt sicher, dass jede Interaktion laufend überprüft und validiert wird, um die Sicherheit und Integrität der IT-Umgebung zu gewährleisten. Dabei setzt Zero Trust auf fünf Prinzipien zur Identifizierung, Authentifizierung und Autorisierung von Mitarbeitenden und Diensten:
- Kontinuierliche Überprüfung
Jeder Zugriff auf Ressourcen, sei es durch Mitarbeitende, Geräte oder Dienste, wird ständig überprüft und validiert. - Minimale Rechtevergabe (Principle of Least Privilege)
Zugriffsrechte werden nur in dem Umfang gewährt, wie sie für die jeweilige Aufgabe notwendig sind. Eine feingranulare Rechtevergabe minimiert potenzielle Angriffsflächen. - Zentrale Informationssammlung und -auswertung
Alle relevanten Sicherheitsinformationen (beispielsweise Identitätsdaten, Gerätezustände und Anmeldevorgänge) werden in einem zentralen Monitoring überwacht, um ein umfassendes Lagebild zu schaffen und den Zugriff dynamisch zu steuern. - Umfassende Sicherheitskontrollen
Sicherheitsmassnahmen werden auf allen Ebenen und Komponenten der Infrastruktur implementiert, von der Identität einer Person über die Geräte bis hin zu Netzwerk, Diensten und Daten. - Dynamische Zugriffskontrollen
Die Zugriffskontrolle erfolgt auf der Basis von Echtzeitdaten wie Benutzerkontext, Gerätestatus oder Aufenthaltsort (Geolokation). Diese Steuerung erfolgt oft durch Policy Engines, die adaptive Richtlinien anwenden.
Strategische Ausrichtung an agilen Werten
In der Umsetzung zeigen sich Parallelen zwischen Zero Trust und dem Agile Manifesto(öffnet ein neues Fenster), das Werte und Prinzipien der (Software-)Entwicklung definiert. Beide setzen auf eine kontinuierliche Anpassung, die Abkehr von starren Annahmen und die Förderung der Zusammenarbeit. Während Agile mit iterativen Feedbackschleifen die Softwareentwicklung verfeinert, nutzt Zero Trust eine kontinuierliche Überwachung und Echtzeit-Validierung von Sicherheitsrichtlinien. Um die Zero-Trust-Maturität zu erhöhen, können Unternehmen die Architektur iterativ anpassen und erweitern. «Das trägt zu besseren Ergebnissen bei, indem Anpassungen schrittweise erfolgen, basierend auf den aktuellen Bedingungen», fasst Weber zusammen.
Bei Zero Trust steht im Fokus, das Zusammenspiel und die Bedürfnisse der einzelnen Akteure im Unternehmen abzusichern. Priorität haben dabei die wichtigsten und kritischen Geschäftsprozesse. Der Fokus muss dabei nicht ausschliesslich auf Security-Massnahmen liegen, betont Weber: «Wir empfehlen, bei einer Zero-Trust-Implementation die Usability zu berücksichtigen und Geschäftsprozesse für die Nutzung zu vereinfachen.» Beispielsweise können Unternehmen die Hürden für die Benutzer*innen abbauen und gleichzeitig die Sicherheit erhöhen, indem Geräte mittels Zertifikat als zusätzlichem Faktor automatisch authentifiziert werden.
Mit Maturitätsmodellen Zero-Trust-Ansätze planen und messen
Die Einführung von Zero-Trust-Ansätzen ist mit möglichst messbaren Zielen verbunden, etwa einer kürzeren MTTD (Mean Time to Detect) oder dem Erreichen eines bestimmten Reifegrads. Unterstützung ist verfügbar, sagt dazu Weber: «Maturitätsmodelle dienen als wichtige Werkzeuge, um den aktuellen Stand der Implementierung zu bewerten, Meilensteine zu setzen und Fortschritte zu messen.»
Diese Modelle bieten zudem eine gemeinsame Sprache, um nichttechnischen Stakeholdern den Fortschritt zu vermitteln. Zu den gängigen Maturitätsmodellen gehören NIST SP 800-207(öffnet ein neues Fenster) für Multi-Cloud-Umgebungen und CISA Zero Trust(öffnet ein neues Fenster). Auch die Swisscom Zero Trust Journey(öffnet ein neues Fenster) orientiert sich als Beratungsansatz daran und erleichtert eine schrittweise Umsetzung.
Die Implementierung von Zero Trust
Die Einführung eines Zero-Trust-Ansatzes ist ein grosses Unterfangen. Denn es gilt, dieses Paradigma über verschiedene lokale und Cloud-Infrastrukturen und Plattformen hinweg umzusetzen und auch allfällige Legacy-Systeme zu berücksichtigen. Weber empfiehlt deshalb ein strategisches Vorgehen, das mit diesen drei Schritten beginnt:
- Das Mindset schaffen für diese Security-Transformation und den Umsetzungswillen bestätigen, etwa mit einer entsprechenden Governance.
- Die Identitäten (Benutzer*innen, Geräte, Dienste usw.) sichern, etwa mit einem unternehmensweiten IAM (Identity and Access Management). Idealerweise beginnt die Vertrauensprüfung bei den Benutzerkonten.
- Auch wenn das Ziel ist, die unternehmenskritischen Geschäftsprozesse absichern: Es lohnt sich, dort zu beginnen, wo sich die Maturität am einfachsten erhöhen lässt, also zuerst die «low hanging fruits» zu ernten.
In einer Zero-Trust-Architektur sind Identitäten gewissermassen der neue Security-Perimeter. Deren Absicherung hat deshalb Priorität. Danach können Unternehmen Zero-Trust-Mechanismen auf ihre «Kronjuwelen» anwenden – Prozesse, Daten und Dienste. Die Konzentration auf die Kernbereiche stellt sicher, dass ein grundlegendes Sicherheitsniveau schnell erreicht wird und Erfolge sichtbar werden, die das Vertrauen der Stakeholder stärken.
Die Zero-Trust-Reise geht weiter
Die Umsetzung von Zero-Trust-Ansätzen ist keine einmalige Initiative, sondern eine fortlaufende Reise. Sie erfordert eine ständige Unterstützung, Schulung und Anpassung auf neue Situationen. Technologien wie KI-gesteuerte Sicherheitsanalysen und automatisierte Massnahmen werden Zero-Trust-Ansätze weiter verfeinern.
Und während im Film die Eindringlinge nach heroischer Schlacht vertrieben werden, präsentiert sich das Happy End in der Realität etwas weniger dramatisch, aber umso geglückter: Für Unternehmen dient Zero Trust als Enabler für geschäftliche Agilität und eine verbesserte Cyberresilienz.
Glossar: die wichtigsten Komponenten einer Zero-Trust-Architektur
Die Schlüsselkomponenten einer Zero-Trust-Infrastruktur umfassen verschiedene Technologien und Ansätze, die zusammen eine umfassende Sicherheitsstrategie gewährleisten. Das sind einige der wichtigsten Komponenten:
Identity and Access Management (IAM)
Das Kernelement einer Zero-Trust-Architektur ermöglicht die zentrale Verwaltung von Identitäten und Zugriffsrechten. IAM sorgt dafür, dass Benutzer nur auf die Ressourcen zugreifen können, die sie benötigen, und integriert Funktionen wie Single Sign-On (SSO) und rollenbasierte Zugriffssteuerung (RBAC).